DE10056129A1

DE10056129A1 - Control system for an actuator in a motor vehicle

Info

Publication number: DE10056129A1
Application number: DE10056129A
Authority: DE
Inventors: Peter Brenner; Joerg Mayer; Arnulf Heilig; Markus Fohler
Original assignee: ZF Lenksysteme GmbH
Current assignee: Robert Bosch Automotive Steering GmbH
Priority date: 2000-11-13
Filing date: 2000-11-13
Publication date: 2002-05-23
Also published as: ES2227039T3; EP1205373B1; DE50103299D1; EP1205373A1

Abstract

Ein Steuerungssystem für ein Stellglied in einem Kraftfahrzeug, insbesondere ein Lenk-Steuerungssystem, weist eine Regel- und Steuereinheit auf, welche in Abhängigkeit von Messdaten eines Sensors Stellsignale zur Einstellung des Stellgliedes erzeugt. Weiterhin ist eine Kontrolleinheit zur Überwachung der Funktion der Regel- und Steuereinheit vorgesehen, wobei im Fehlerfall das Steuerungssystem abgeschaltet wird. DOLLAR A Die Regel- und Steuereinheit besteht aus drei funktional eigenständig arbeitenden Funktionseinheiten, wobei die zweite Funktionseinheit die Stellsignale der ersten Funktionseinheit auf Übereinstimmung mit Sollwerten untersucht und im Fehlerfall das Steuerungssystem abschaltet.A control system for an actuator in a motor vehicle, in particular a steering control system, has a regulating and control unit which, depending on measurement data from a sensor, generates actuating signals for adjusting the actuator. Furthermore, a control unit is provided for monitoring the function of the regulating and control unit, the control system being switched off in the event of a fault. DOLLAR A The regulating and control unit consists of three functionally independent functional units, the second functional unit examining the control signals of the first functional unit for agreement with setpoints and switching off the control system in the event of a fault.

Description

Die Erfindung bezieht sich auf ein Steuerungssystem für ein Stellglied in einem Kraftfahrzeug nach dem Oberbegriff des An spruches 1.The invention relates to a control system for a Actuator in a motor vehicle according to the preamble of the An saying 1.

Ein derartiges Steuerungssystem wird in der DE 198 34 870 A1 beschrieben, die einen fehlertoleranten elektromechanischen Lenksteller für eine steer-by-wire-Anwendung in Kraftfahrzeugen offenbart. Dem Lenksteller ist eine Regel- und Steuereinheit zugeordnet, in der in Abhängigkeit von Messsignalen eines Lenk winkelsensors sowie weiterer Zustands- und Betriebsgrößen des Kraftfahrzeugs Steilsignale zur Einstellung eines elektrischen Lenkmotors auf einen vorgegebenen Sollwinkel erzeugt werden. Um im Falle eines Fehlers in einem Sensor oder in einem Subsystem der Regel- und Steuereinheit eine korrekte Lenkfunktion zu er möglichen, ist der Lenksteller in zwei redundante Systeme un terteilt, wobei jedes System eine Regel- und Steuereinheit und einen zugeordneten Lenkmotor umfasst. Im normalen Betriebsmodus - bei voll funktionstüchtigem Lenksteller - arbeitet nur eines der Systeme aktiv, das zweite System ist dagegen passiv ge schaltet. Im Falle eines Fehlers im aktiven Systems kann dieses über ein stromlos öffnenden Relais passiv geschaltet und das bislang passive zweite System aktiviert werden. Außerdem tau schen die beiden Regel- und Steuereinheiten der beiden Systeme permanent Ist-Stellgrößen und Fehlerinformationen aus, wodurch eine Watchdog-Funktion realisiert wird.Such a control system is described in DE 198 34 870 A1 described a fault-tolerant electromechanical Steering plate for a steer-by-wire application in motor vehicles disclosed. The steering actuator is a regulating and control unit assigned, in which a steering depending on measurement signals angle sensor and other status and operating variables of the Motor vehicle steep signals for setting an electrical Steering motor are generated to a predetermined target angle. Around in the event of a fault in a sensor or in a subsystem the regulation and control unit to a correct steering function possible, the steering actuator is un in two redundant systems divided, with each system a regulating and control unit and comprises an associated steering motor. In normal operating mode - with a fully functional steering actuator - only one works of the systems active, the second system, on the other hand, is passive on. In the event of a fault in the active system, this can switched passively via a normally open relay and that previously passive second system can be activated. Also dew the two regulating and control units of the two systems permanent actual variables and error information, whereby a watchdog function is implemented.

Der Lenksteller mit den zwei unabhängig voneinander arbeitenden Systemen erfordert einen hohen Hardware-Aufwand. Darüber hinaus muss zur Realisierung der Watchdog-Funktion auch ein hoher Schaltungsaufwand durchgeführt werden, um die diversen Subsys teme eines Systems mit der Regel- und Steuereinheit des jeweils anderen Systems zu verbinden.The steering plate with the two working independently Systems require a lot of hardware. Furthermore To implement the watchdog function, a high Circuitry can be done to the various subsys system with the regulating and control unit of each other system.

Der Erfindung liegt das Problem zugrunde, ein Steuerungssystem für ein Stellglied in einem Kraftfahrzeug anzugeben, insbeson dere ein Lenk-Steuerungssystem, welches bei einem einfachen Aufbau eine hohe Fehlertoleranz aufweist.The invention is based on the problem of a control system to specify for an actuator in a motor vehicle, in particular a steering control system, which with a simple Structure has a high fault tolerance.

Dieses Problem wird erfindungsgemäß mit den Merkmalen des An spruches 1 gelöst. Die Unteransprüche geben zweckmäßige Weiter bildungen an.This problem is solved according to the invention with the features of the Proverb 1 solved. The subclaims pass on appropriate education.

Das erfindungsgemäße Steuerungssystem für ein Stellglied in ei nem Kraftfahrzeug weist nur eine einzige Regel- und Steuerein heit auf, welche jedoch mit drei funktional eigenständigen Funktionseinheiten ausgestattet ist, die in einer bestimmten Weise zusammen arbeiten und eine mindestens teilweise redundan te Berechnung der Stellsignale zur Einstellung des Kraftfahr zeug-Stellgliedes ermöglichen. Die drei Funktionseinheiten in nerhalb der Regel- und Steuereinheit arbeiten in einer hierar chisch abgestimmt zusammen, indem die erste Funktionseinheit aus Eingangssignalen gemäß einer hinterlegten Berechnungsvor schrift Stellsignale für das zu manipulierende Stellglied be rechnet, in der zweiten Funktionseinheit ein quantitativer Ver gleich der Stellsignale der ersten Funktionseinheit mit Ver gleichs- bzw. Sollwerten durchgeführt wird, wobei im Fehlerfall das Steuerungssystem abgeschaltet wird, und in der dritten Funktionseinheit die Kommunikation mit der separat ausgebilde ten Kontrolleinheit durchgeführt wird. Sowohl jede der drei Funktionseinheiten als auch die separate Kontrolleinheit sind unabhängig voneinander in der Lage, das Steuerungssystem abzu schalten. In dieser Ausführung, in der insbesondere die ersten beiden Funktionseinheiten zumindest teilweise als Software in der Regel- und Steuereinheit realisiert sind, kann bei einem hohen Sicherheitsniveau die Anzahl der für das Steuerungssystem benötigten Bauteile gering gehalten werden, wodurch Kosten und Bauraum reduziert werden und die Zuverlässigkeit erhöht wird.The control system according to the invention for an actuator in egg nem motor vehicle has only one rule and tax on, but with three functionally independent Functional units is equipped in a certain Working together wisely and at least partially redundant te calculation of the control signals for setting the motor vehicle Enable tool actuator. The three functional units in within the control unit work in a hierarchy chemically coordinated by the first functional unit from input signals according to a stored calculation script control signals for the actuator to be manipulated be calculates a quantitative ver in the second functional unit equal to the control signals of the first functional unit with Ver equals or setpoints is carried out, in the event of an error the control system is turned off, and in the third Functional unit communicating with the separately trained control unit is carried out. Both of the three Functional units as well as the separate control unit independent of each other, able to switch off the control system turn. In this version, in particular the first two functional units at least partially as software in the regulation and control unit can be realized at one high level of security the number of for the control system required components are kept low, thereby reducing costs and Installation space can be reduced and reliability is increased.

In einer bevorzugten Weiterbildung werden die Vergleichswerte aus der zweiten Funktionseinheit pro Berechnungszyklus ledig lich für einen Teil der Berechnungsschritte der ersten Funkti onseinheit ermittelt und auf Übereinstimmung überprüft, wodurch eine signifikante Recheneinsparung erreicht wird, da in der zweiten Funktionseinheit nicht die gleiche Anzahl an Berech nungsschritten wie in der ersten Funktionseinheit durchgeführt werden muss, sondern lediglich eine Untermenge hiervon. Über die Auswahl der Berechnungen, welche in der zweiten Funktions einheit durchgeführt werden, kann Einfluss genommen werden auf das gewünschte Sicherheitsniveau, mit dem das Steuerungssystem betrieben werden soll. Die Auswahl kann unter dem Gesichtspunkt besonders fehleranfälliger Subsysteme bzw. Berechnungsmodule der ersten Funktionseinheit getroffen werden.In a preferred development, the comparison values single from the second functional unit per calculation cycle for part of the calculation steps of the first function ons unit determined and checked for agreement, whereby a significant saving in calculation is achieved because in the second functional unit does not have the same number of calculations steps as carried out in the first functional unit must be, but only a subset of it. about the choice of calculations, which in the second function unity can be influenced the desired level of security with which the control system to be operated. The selection can be made from the point of view particularly error-prone subsystems or calculation modules the first functional unit.

Um bei geringer Rechenzeit eine möglichst hohe Sicherheitsstufe zu erreichen, werden in einer zweckmäßigen Ausführung in der zweiten Funktionseinheit in zwei aufeinander folgenden Berech nungszyklen, insbesondere in zwei unmittelbar aufeinander fol genden Berechnungszyklen, die Berechnungen bzw. Ergebnisse aus zwei unterschiedlichen Subsystemen bzw. Berechnungsmodulen der ersten Funktionseinheit redundant überprüft. Es kann beispiels weise pro Berechnungszyklus in der ersten Funktionseinheit ein Stellsignal in einem ersten Berechnungsmodul generiert werden, welches ein Zwischenergebnis darstellt, das in nachfolgenden Berechnungsmodulen der ersten Funktionseinheit weiteren Manipu lationen unterzogen wird. Im gleichen Berechnungszyklus wird in der zweiten Funktionseinheit eine redundante Berechnung in einem ersten Berechnungsmodul der zweiten Funktionseinheit durch geführt, die analog zu der Berechnung des ersten Berechnungsmo duls der ersten Funktionseinheit oder einer Untereinheit des ersten Berechnungsmoduls aufgebaut ist. Auf diese Weise erhält man in der zweiten Funktionseinheit einen Vergleichswert für ein Zwischenergebnis aus der ersten Funktionseinheit. In einem nachgeschalteten Vergleichsblock kann das Zwischenergebnis aus der ersten Funktionseinheit mit dem zugeordneten Vergleichswert aus der zweiten Funktionseinheit verglichen werden, wobei im Falle einer unzulässig hohen Abweichung ein Fehlersignal gene riert wird, das zur Anzeige gebracht wird und/oder das Steue rungssystem ausschaltet bzw. in einen Sicherheitszustand (fail safe-Zustand) schaltet, in welchem die Unterstützung abgeschal tet wird und ein ausschließlich mechanischer, hydraulischer o der pneumatischer Durchgriff auf die zu manipulierende Fahr zeugkomponente gegeben ist und/oder auf alternative Stellglie der umgeschaltet wird. Die Rechenzeiteinsparung wird dadurch erzielt, dass in der zweiten Funktionseinheit nur eine Unter menge aus den in der ersten Funktionseinheit vollständig auszu führenden Berechnungen durchgeführt wird.In order to achieve the highest possible security level with a low computing time to achieve, are in an appropriate execution in the second functional unit in two consecutive calculations cycles, especially in two consecutive the calculation cycles, the calculations or results two different subsystems or calculation modules of the first functional unit checked redundantly. For example instruct in the first functional unit per calculation cycle Control signal are generated in a first calculation module, which is an interim result, which is described in the following Calculation modules of the first functional unit further Manipu lations is subjected. In the same calculation cycle, in the second functional unit performs a redundant calculation in one first calculation module of the second functional unit performed, which is analogous to the calculation of the first calculation mo module of the first functional unit or a subunit of the first calculation module is set up. That way gets a comparison value for in the second functional unit an intermediate result from the first functional unit. In one downstream comparison block can see the intermediate result the first functional unit with the assigned comparison value be compared from the second functional unit, wherein in In the event of an impermissibly high deviation, generate an error signal is displayed, and / or the tax system switches off or into a safety state (fail safe state) in which the support is switched off tet and an exclusively mechanical, hydraulic o the pneumatic grip on the driving to be manipulated Stuff component is given and / or on alternative Stellglie which is switched. This saves computing time achieved that in the second functional unit only one sub amount from the in the first functional unit completely leading calculations is carried out.

In einem folgenden Berechnungszyklus werden in der ersten Funk tionseinheit bevorzugt wiederum sämtliche Berechnungsmodule zur Ermittlung des das Stellglied beaufschlagenden Stellsignals durchlaufen. In der zweiten Funktionseinheit wird nun im Unter schied zum ersten Berechnungszyklus ein Berechnungsergebnis aus einem anderen Berechnungsmodul ermittelt, so dass in aufeinan der folgenden Berechnungszyklen unterschiedliche Berechnungsmo dule der ersten Funktionseinheit auf Funktionstüchtigkeit über prüft werden, wobei im Fehlerfall wiederum ein Fehlersignal er zeugt wird.In a subsequent calculation cycle, the first radio tion unit in turn prefers all calculation modules Determination of the control signal acting on the actuator run through. In the second functional unit is now in the sub a calculation result for the first calculation cycle determined another calculation module, so that in one another of the following calculation cycles different calculation mo module of the first functional unit for functionality be checked, in the event of an error again an error signal is fathered.

Auf diese Weise kann pro Berechnungszyklus in der zweiten Funk tionseinheit ein Berechnungsmodul der ersten Funktionseinheit überprüft werden.In this way, per calculation cycle in the second radio tion unit a calculation module of the first functional unit be checked.

Zweckmäßig weisen die erste Funktionseinheit und die zweite Funktionseinheit eine identische Anzahl gleich aufgebauter Be rechnungsmodule auf, wobei in der zweiten Funktionseinheit pro Berechnungszyklus lediglich eine Untermenge an Berechnungsmodu len durchlaufen wird, deren Ergebnisse zum Vergleich der zuge ordneten Berechnungsmodule der ersten Funktionseinheit herange zogen werden.The first functional unit and the second expediently have Functional unit an identical number of identically constructed Be calculation modules, whereby in the second functional unit pro Calculation cycle is just a subset of the calculation module len is run through, the results of which to compare the assigned arranged calculation modules of the first functional unit be drawn.

Die dritte Funktionseinheit innerhalb der Regel- und Steuerein heit ist zweckmäßig als Kommunikationseinheit ausgeführt, die mit der separat ausgebildeten Kontrolleinheit kommuniziert, wo bei die Kontrolleinheit bevorzugt sowohl den ordnungsgemäßen Ablauf einzelner Berechnungsmodule aus der ersten Funktionsein heit als auch den ordnungsgemäßen Ablauf der Module der zweiten Funktionseinheit überprüft und im Falle einer Fehlfunktion das System abschaltet.The third functional unit within the regulation and control unit Unit is expediently designed as a communication unit that communicates with the separately trained control unit where the control unit prefers both the correct one Sequence of individual calculation modules from the first function as well as the orderly operation of the modules of the second Functional unit checked and in the event of a malfunction System shuts down.

Weitere Vorteile und zweckmäßige Ausführungen sind den weiteren Ansprüchen, der Figurenbeschreibung und den Zeichnungen zu ent nehmen. Es zeigen:Further advantages and practical designs are the others Entities, the description of the figures and the drawings ent to take. Show it:

Fig. 1 ein Blockschaltbild mit der Struktur eines Steuersys tems zur Beaufschlagung eines Stellgliedes in einem Kraftfahrzeug, bestehend aus einer Regel- und Steuer einheit mit drei funktional eigenständigen Funktions einheiten und einer separat ausgebildeten Kontroll einheit, Fig. 1 is a block diagram showing the structure of a Steuersys tems for acting on an actuator in a motor vehicle, comprising a regulating and control device devices with three functionally independent functional unit and a separately formed control,

Fig. 2 eine schematische Darstellung der zyklischen Überprü fung der Ergebnisse aus Berechnungen in der ersten Funktionseinheit durch Vergleich mit Sollwerten aus der zweiten Funktionseinheit, Fig. 2 is a schematic representation of the cyclic Überprü evaporation of the results of calculations in the first functional unit by comparison with setpoint values from the second entity,

Fig. 3 eine Fig. 2 entsprechende Darstellung, jedoch mit sich unterscheidenden Berechnungsmodulen, die wieder kehren, jedoch in größeren Zeitabständen überprüft werden,But are, however, checked with differing calculation modules, which recur in larger time intervals Fig. 3 is a Fig. 2 corresponding representation,

Fig. 4 ein Blockschaltbild mit einer detaillierten Darstel lung des Vergleichs von Ausgangsgrößen aus Berech nungsmodulen der ersten Funktionseinheit mit Berech nungsmodulen der zweiten Funktionseinheit. Fig. 4 is a block diagram depicting a detailed development of the comparison of outputs from calculation planning modules of the first functional unit with calculation modules voltage of the second functional unit.

In den folgenden Figuren sind gleiche Bauteile und Module mit gleichen Bezugszeichen versehen.In the following figures, the same components and modules are included provided with the same reference numerals.

In dem Blockschaltbild nach Fig. 1 ist ein Steuerungssystem 1 für ein Stellglied 8 in einem Kraftfahrzeug schematisch darge stellt. Bei dem gezeigten Steuerungssystem handelt es sich be vorzugt um ein Lenk-Unterstützungssystem; dementsprechend ist das Stellglied 8 als elektrisch betätigbarer Lenkunterstüt zungsmotor ausgeführt, über den das Lenkmoment des Fahrers ver stärkt wird.In the block diagram of FIG. 1, a control system 1 for an actuator 8 in a motor vehicle is schematically Darge. The control system shown is preferably a steering support system; Accordingly, the actuator 8 is designed as an electrically actuated steering support motor, via which the steering torque of the driver is strengthened ver.

Es kommen gegebenenfalls aber auch andere Unterstützungsanwen dungen oder auch Anwendungen aus dem Bereich X-by-wire in Be tracht, beispielsweise steer-by-wire-Funktionen, drive-by-wire- Funktionen oder break-by-wire-Funktionen.However, other support applications may also come applications or applications from the X-by-wire area in Be traditional costume, e.g. steer-by-wire functions, drive-by-wire Functions or break-by-wire functions.

Das Steuerungssystem 1 umfasst eine Regel- und Steuereinheit 2, die in drei Funktionseinheiten 2a, 2b und 2c unterteilt ist, sowie eine von der Regel- und Steuereinheit 2 separat ausgebil dete Kontrolleinheit 3, die die Funktionsfähigkeit von Subsys temen der Regel- und Steuereinheit überprüft.The control system 1 comprises a regulating and control unit 2 , which is subdivided into three functional units 2 a, 2 b and 2 c, and a control unit 3 , which is separately trained by the regulating and control unit 2 and which controls the functionality of subsystems of and control unit checked.

Die erste Funktionseinheit 2a der Regel- und Steuereinheit 2 umfasst eine Mehrzahl an Berechnungs- und Bearbeitungsblöcken 4, 5, 6, 7 und 9, in denen aus Eingangssignalen i Ausgangssig nale o generiert werden, die dem Stellglied 8, welches insbe sondere als Elektromotor ausgebildet ist, zur Einstellung zuge führt werden. In einem ersten eingangsseitigen Berechnungsblock 4, der als Software in der ersten Funktionseinheit 2a abgelegt ist, werden die Eingangssignale i, bei denen es sich insbeson dere um Lenkwinkelsignale eines Lenkwinkelsensors handelt, aus gewertet. Aus diesen Signalen werden gemäß einer hinterlegten Berechnungsvorschrift in einzelnen Berechnungsmodulen A, B, C etc., in denen einzelne Berechnungsschritte durchgeführt wer den, Ausgangssignale erzeugt, die dem nächsten Verarbeitungs block zugeführt werden, einem Motorregler 5. Die im Berech nungsblock 4 erzeugten und dem Motorregler 5 zuzuführenden Sig nale repräsentieren ein Motor-Sollmoment, insbesondere eine Soll-Lenkunterstützungskraft, mit dem das Stellglied 8 zu be aufschlagen ist. Im Motorregler 5 wird in Abhängigkeit der dem Motorregler zugeführten Signale, die zusätzlich zu dem Motor- Sollmoment auch Informationen über die Drehzahl n des Stell glieds 8 sowie Informationen über die Motorspannung, mit der das Stellglied 8 beaufschlagt wird, eine Sollspannung gene riert, die dem darauf folgenden Block 6 zugeführt wird. Auch der Motorregler ist als Software in der ersten Funktionseinheit 2a hinterlegt.The first functional unit 2 a of the regulating and control unit 2 comprises a plurality of calculation and processing blocks 4 , 5 , 6 , 7 and 9 , in which i output signals are generated from input signals i, the actuator 8 , which in particular as an electric motor is trained to be fed leads to the setting. In a first input-side calculation block 4 , which is stored as software in the first functional unit 2 a, the input signals i, which are in particular steering angle signals of a steering angle sensor, are evaluated. An engine controller 5 is generated from these signals in accordance with a stored calculation rule in individual calculation modules A, B, C, etc., in which individual calculation steps are carried out, to which the next processing block is supplied. The generated in the calculation block 4 and the engine controller 5 to be supplied signals represent a target engine torque, in particular a target steering assist force with which the actuator 8 is to be opened. In the motor controller 5 , depending on the signals supplied to the motor controller, which in addition to the desired engine torque also information about the speed n of the actuator 8 and information about the motor voltage with which the actuator 8 is acted upon, a desired voltage is generated, which subsequent block 6 is fed. The motor controller is also stored as software in the first functional unit 2 a.

Bei den Blöcken 6 und 7 handelt es sich um einen Pulsweitenmo dulierer und einen Stromverstärker, in denen der dem Stellglied 8 zuzuführende Strom gesteuert wird. Dem Pulsweitenmodulierer 6 und dem Stromverstärker 7, die beide als Hardware in der ersten Funktionseinheit 2a realisiert sind, ist eine Spannungsdiagno seeinheit 9 zugeordnet, der sowohl die dem Pulsweitenmodulierer 6 zuzuführende Eingangsspannung als auch die im Stromverstärker 7 generierte Ausgangsspannung für das Stellglied 8 zugeführt wird und in welcher eine Datenüberprüfung dieser Spannungswerte durchgeführt wird. Die Spannungsdiagnoseeinheit 9 ist zweckmä ßig ebenfalls als Software ausgeführt und in der ersten Funkti onseinheit 2a hinterlegt.The blocks 6 and 7 are a pulse width modulator and a current amplifier in which the current to be supplied to the actuator 8 is controlled. The pulse width modulator 6 and the current amplifier 7 , both of which are implemented as hardware in the first functional unit 2 a, is assigned a voltage diagnosis unit 9 which supplies both the input voltage to be supplied to the pulse width modulator 6 and the output voltage generated in the current amplifier 7 for the actuator 8 and in which a data check of these voltage values is carried out. The voltage diagnosis unit 9 is also expediently designed as software and stored in the first function unit 2 a.

In der zweiten Funktionseinheit 2b der Regel- und Steuereinheit 2 ist ein weiterer Berechnungsblock 10 vorgesehen, der eine Reihe von Berechnungsmodulen A', B', C etc. sowie U' umfasst, die jeweils gleich aufgebaut sind wie die Berechnungsmodule A, B, C etc. aus dem Berechnungsblock 4 bzw. wie das Berechnungs modul U aus dem Motorregler 5 der ersten Funktionseinheit 2a. Zweckmäßig umfasst der Berechnungsblock 10 der zweiten Funkti onseinheit 2b die gleiche Anzahl an einzelnen Berechnungsmodu len wie der Berechnungsblock 4 und der Motorregler 5 aus der ersten Funktionseinheit 2a. Die im Berechnungsblock 10 der zweiten Funktionseinheit 2b enthaltenen Berechnungsmodule A', B', C' etc. sowie U' sind redundant zu den entsprechenden Be rechnungsmodulen A, B, C, etc. und U der ersten Funktionsein heit 2a ausgeführt. Im Berechnungsblock 10 werden identische Berechnungen in Abhängigkeit der Eingangssignale 1 wie im Be rechnungsblock 4 und im Motorregler 5 der ersten Funktionsein heit 2a ausgeführt, wobei aus Rechenzeitgründen zweckmäßig pro Berechnungszyklus in der zweiten Funktionseinheit 2b nur je weils eine Untermenge der Berechnungen aus der ersten Funkti onseinheit 2a durchgeführt wird.In the second functional unit 2 b of the regulating and control unit 2 , a further calculation block 10 is provided, which comprises a series of calculation modules A ', B', C etc. and U ', each of which has the same structure as the calculation modules A, B, C etc. from the calculation block 4 or how the calculation module U from the motor controller 5 of the first functional unit 2 a. The calculation block 10 of the second function unit 2 b expediently comprises the same number of individual calculation modules as the calculation block 4 and the motor controller 5 from the first function unit 2 a. The calculation modules A ', B', C 'etc. and U' contained in the calculation block 10 of the second functional unit 2 b are designed redundantly to the corresponding calculation modules A, B, C, etc. and U of the first functional unit 2 a. In the calculation block 10 , identical calculations are carried out depending on the input signals 1 as in the calculation block 4 and in the motor controller 5 of the first functional unit 2 a, for calculation reasons, expediently only one subset of the calculations from the first in the second functional unit 2 b per calculation cycle Function unit 2 a is carried out.

Dem Berechnungsblock 10 aus der zweiten Funktionseinheit 2b ist ein Vergleichsblock 11 nachgeschaltet, dem als Eingangssignale die Berechnungsergebnisse aus den einzelnen Berechnungsmodulen A, B, C. etc. und U aus dem Berechnungsblock 4 bzw. dem Motor regler 5 der ersten Funktionseinheit 2a sowie die Ergebnisse der korrespondierenden und aktuell durchgeführten Berechnungs module A', B', C', etc. sowie U' des Berechnungsblocks 10 aus der zweiten Funktionseinheit 2b zugeführt werden. Im Ver gleichsblock 11 erfolgt ein Vergleich der Berechnungsergebnisse zwischen zugeordneten Berechnungsmodulen A-A', B-B', C-C', etc. sowie U-U'. Sofern die Ergebnisse innerhalb einer zulässigen Toleranz übereinstimmen, kann von Funktionstüchtigkeit der ü berprüften Blöcke bzw. Module ausgegangen werden. Falls die Er gebnisse unter Berücksichtigung einer vorgegebenen Toleranz in unzulässiger Weise voneinander abweichen, liegt eine Fehlfunk tion vor und das Steuerungssystem wird abgeschaltet.The calculation block 10 from the second functional unit 2 b is followed by a comparison block 11, to which the calculation results from the individual calculation modules A, B, C. etc. and U from the calculation block 4 or the engine controller 5 of the first functional unit 2 a as well as input signals the results of the corresponding and currently performed calculation module A ', B', C ', etc., as well as U' to the calculation block 10 from the second operation unit 2 are supplied to b. In comparison block 11 there is a comparison of the calculation results between assigned calculation modules A-A ', B-B', C-C ', etc. and U-U'. If the results agree within a permissible tolerance, the functionality of the checked blocks or modules can be assumed. If the results deviate from one another in an impermissible manner taking into account a specified tolerance, there is a malfunction and the control system is switched off.

Sowohl der Berechnungsblock 10 als auch der Vergleichsblock 11 der zweiten Funktionseinheit 2b sind als Software in der Regel- und Steuereinheit 2 realisiert. Der Berechnung in den einzelnen Berechnungsmodulen A', B', C', etc. sowie U' im Berechnungs block 10 ist zweckmäßig eine mathematische Bibliothek mit Stan dardfunktionen unterlegt, wohingegen die Berechnung im Berech nungsblock 4 und im Motorregler 5 der ersten Funktionseinheit 2a ohne eine derartige mathematische Bibliothek erfolgt. Die Funktionseinheit 2b dient zur Überwachung der Funktionen aus der ersten Funktionseinheit 2a.Both the calculation block 10 and the comparison block 11 of the second functional unit 2 b are implemented as software in the regulating and control unit 2 . The calculation in the individual calculation modules A ', B', C ', etc. and U' in the calculation block 10 is expediently underpinned by a mathematical library with standard functions, whereas the calculation in the calculation block 4 and in the motor controller 5 of the first functional unit 2 a without such a mathematical library. The functional unit 2 b serves to monitor the functions from the first functional unit 2 a.

In der dritten Funktionseinheit 2c ist eine Hardware- Überwachung innerhalb der Regel- und Steuereinheit 2 reali siert. Hierzu ist eine Kommunikationseinheit 12 vorgesehen, die zum einen mit Blöcken und Modulen der ersten beiden Funktions einheiten 2a und 2b und zum anderen mit der extern ausgebilde ten Kontrolleinheit 3 (Watchdog) kommuniziert. In der dritten Funktionseinheit wird der ordnungsgemäße Ablauf aller Module und Blöcke der ersten beiden Funktionseinheiten überwacht und werden sicherheitsrelevante Hardware-Komponenten der Regel- und Steuereinheit auf Funktionstüchtigkeit geprüft. Die gegenseiti ge Überwachung von Regel- und Steuereinheit 2 und Kontrollein heit 3 basiert auf einer Frage-Antwort-Logik, bei der sowohl der ordnungsgemäße Durchlauf der Blöcke bzw. Module als auch die Funktion dieser Blöcke bzw. Module überprüft wird. Hierbei werden von der Kontrolleinheit 3 Fragen gestellt und über die Kommunikationseinheit 12 an die Regel- und Steuereinheit 2 wei tergeleitet, die von den einzelnen Modulen bzw. Blöcken der Funktionseinheiten 2a und 2b beantwortet werden müssen, insbe sondere in einem festgelegten Ablauf und innerhalb definierter Zeitfenster. Die gestellte Frage besteht beispielsweise aus ei ner Binärzahl, die mit einer zugehörigen Binärzahl innerhalb des definierten Zeitfensters beantwortet werden muss. Über die Bit-Länge der Binärzahlen kann die Wahrscheinlichkeit, dass durch Zufall eine richtige Antwort geliefert wird, gesteuert werden. Wird ein Fehler detektiert, so kann das Steuerungssys tem von der Kontrolleinheit 3 abgeschaltet werden.In the third functional unit 2 c, hardware monitoring is implemented within the regulating and control unit 2 . For this purpose, a communication unit 12 is provided, which on the one hand communicates with blocks and modules of the first two functional units 2 a and 2 b and on the other hand with the externally trained control unit 3 (watchdog). In the third functional unit, the proper execution of all modules and blocks of the first two functional units is monitored and safety-relevant hardware components of the regulating and control unit are checked for functionality. The mutual monitoring of regulating and control unit 2 and control unit 3 is based on a question-answer logic in which both the proper passage of the blocks or modules and the function of these blocks or modules are checked. 3 questions are asked by the control unit and forwarded via the communication unit 12 to the regulating and control unit 2 , which have to be answered by the individual modules or blocks of the functional units 2 a and 2 b, in particular in a defined sequence and within defined time window. The question asked consists, for example, of a binary number which must be answered with an associated binary number within the defined time window. The bit length of the binary numbers can be used to control the probability that a correct answer will be delivered by chance. If an error is detected, the control system can be switched off by the control unit 3 .

Zweckmäßig wird auch die Kontrolleinheit 3 überwacht. Durch ei ne in der Kommunikationseinheit 12 durchgeführte Abfragelogik kann überprüft werden, ob die Kontrolleinheit 3 innerhalb der definierten Zeitfenster die geforderten Fragen stellt. Falls die Fragen nicht innerhalb des Zeitfensters geliefert werden o der einen falschen Fragewert aufweisen, kann das gesamte Steue rungssystem 1 von der Kommunikationseinheit 12 abgeschaltet werden.Control unit 3 is also expediently monitored. A query logic carried out in the communication unit 12 can be used to check whether the control unit 3 asks the required questions within the defined time window. If the questions are not delivered within the time window or have an incorrect question value, the entire control system 1 can be switched off by the communication unit 12 .

Die Kommunikationseinheit 12 kommuniziert zweckmäßig mit einer Prozessorüberprüfungseinheit 13, mit der Prozessorkomponenten, beispielsweise Addierer, auf Funktionsfähigkeit überprüft wer den können, und mit einer Speicherüberprüfungseinheit 14, die den Speicher des Steuerungssystems auf Funktionstüchtigkeit ü berprüft.The communication unit 12 communicates expediently with a processor check unit 13 , with which processor components, for example adders, can be checked for functionality, and with a memory check unit 14 , which checks the memory of the control system for functionality.

Im Ausführungsbeispiel überprüft die Kommunikationseinheit 12 den Berechnungsblock 10 und den Vergleichsblock 11 aus der zweiten Funktionseinheit 2b und die Spannungsdiagnoseeinheit 9 aus der ersten Funktionseinheit 2a.In the exemplary embodiment, the communication unit 12 checks the calculation block 10 and the comparison block 11 from the second functional unit 2 b and the voltage diagnosis unit 9 from the first functional unit 2 a.

Fig. 2 symbolisiert die Logik, mit der die zweite Funktionseinheit 2b die Funktionen der ersten Funktionseinheit 2a über wacht. Dargestellt sind drei Reihen mit jeweils einer Mehrzahl von Berechnungsmodulen A, B, C, die gemäß Fig. 1 dem Berech nungsblock 4 der ersten Funktionseinheit 2a zugeordnet sind, einem nachfolgenden Berechnungsmodul A' (1. Reihe) bzw. B' (2. Reihe) bzw. C' (3. Reihe), das dem Berechnungsblock 10 der zweiten Funktionseinheit 2b zugeordnet ist, und dem Vergleichs block 11 der zweiten Funktionseinheit 2b. Jede Reihe repräsen tiert einen Berechnungszyklus; die Reihen werden zeitlich auf einander folgend abgearbeitet, beispielsweise in einem Zeitab stand von 1 ms. Fig. 2 symbolizes the logic with which the second functional unit 2 b monitors the functions of the first functional unit 2 a. Shown are three rows of a plurality of computing modules A, B, C, in accordance with Fig. 1 to the calculation voltage block 4 of the first functional unit 2 are assigned to a, a subsequent calculation module A '(Series 1) and B' (2. Row) or C '(3rd row), which is assigned to the calculation block 10 of the second functional unit 2 b, and the comparison block 11 of the second functional unit 2 b. Each row represents a calculation cycle; the rows are processed sequentially, for example at a time interval of 1 ms.

In der Ablauflogik nach Fig. 2 werden in jedem Berechnungszyk lus zunächst die Berechnungsmodule A, B und C des ersten Be rechnungsblocks der ersten Funktionseinheit abgearbeitet. In der ersten Reihe wird zusätzlich das Berechnungsmodul A' des zweiten Berechnungsblocks der zweiten Funktionseinheit ermit telt, wobei im nachfolgenden Vergleichsblock 11 die Ergebnisse A und A' verglichen werden und im Fehlerfall ein Abschaltsignal generiert wird. Die folgenden Reihen laufen analog ab, wobei in jeder Reihe jeweils nur ein einziges Berechnungsmodul der zwei ten Funktionseinheit ausgeführt wird, welches mit dem korres pondierenden Berechnungsmodul der ersten Funktionseinheit ver glichen wird. In jedem neuen Berechnungszyklus wird ein weite res Berechnungsmodul in der zweiten Funktionseinheit ermittelt. Dieser Ablauf wird so lange durchgeführt, bis sämtliche Berech nungsmodule der ersten Funktionseinheit mit dem zugeordneten Berechnungsmodul der zweiten Funktionseinheit verglichen worden sind. Da im Ausführungsbeispiel nach Fig. 2 insgesamt drei Be rechnungsmodule A, B, C in der ersten Funktionseinheit vorgese hen sind, ist nach insgesamt drei Berechnungszyklen die Überwa chungslogik vollständig durchlaufen.In the flow logic according to FIG. 2, the calculation modules A, B and C of the first calculation block of the first functional unit are first processed in each calculation cycle. In the first row, the calculation module A 'of the second calculation block of the second functional unit is additionally determined, the results A and A' being compared in the following comparison block 11 and a switch-off signal being generated in the event of an error. The following rows run analogously, with only a single calculation module of the second functional unit being executed in each row, which is compared with the corresponding calculation module of the first functional unit. In each new calculation cycle, a further calculation module is determined in the second functional unit. This process is carried out until all calculation modules of the first functional unit have been compared with the assigned calculation module of the second functional unit. Since a total of three calculation modules A, B, C are provided in the first functional unit in the exemplary embodiment according to FIG. 2, the monitoring logic is completely run through after a total of three calculation cycles.

Die Ablauflogik nach Fig. 3 zeigt einen zusätzlich durchzuführenden Berechnungszyklus, welcher in größeren Zeitabständen, verglichen mit den Zyklen der Logik aus Fig. 2, durchgeführt wird. So kann beispielsweise vorgesehen sein, die Überwachung gemäß Fig. 3 nur bei jedem zehnten Berechnungszyklus durchzu führen, also alle 10 ms, falls die Berechnungszyklen aus Fig. 2 im 1 ms-Abstand durchgeführt werden.The flow logic according to FIG. 3 shows an additional calculation cycle to be carried out, which is carried out at larger time intervals compared to the cycles of the logic from FIG. 2. For example, provision can be made for the monitoring according to FIG. 3 to be carried out only every tenth calculation cycle, that is to say every 10 ms, if the calculation cycles from FIG. 2 are carried out at 1 ms intervals.

Dargestellt ist in Fig. 3 ein einzelner Berechnungszyklus mit jeweils zwei Berechnungsmodulen D und D', E und E' und U und U' aus dem Berechnungsblock 4 bzw. dem Motorregler 5 der ersten Funktionseinheit und dem Berechnungsblock 10 der zweiten Funk tionseinheit, wobei jeweils zwei zugeordnete Berechnungsmodule in einem folgenden Vergleichsblock 11 miteinander verglichen werden und m Fehlerfall ein Abschaltsignal erzeugt wird.A single calculation cycle each with two computational modules D and D ', E and E', and U and U 'from the calculation block 4 and the motor controller shown in FIG. 3 5 of the first functional unit and the calculation block tion unit 10 of the second radio, wherein each two assigned calculation modules are compared in a subsequent comparison block 11 and a shutdown signal is generated in the event of an error.

Fig. 4 zeigt eine detailliertere Darstellung des Vergleichs von zwei Berechnungsmodulen D und D' unterschiedlicher Berechnungs blöcke 4 bzw. 10 der ersten bzw. zweiten Funktionseinheit. In beiden Berechnungsmodulen D und D' werden in Abhängigkeit von Eingangssignalen i Ausgangsgrößen o bzw. o' ermittelt, die dem Vergleichsblock 11 zugeführt werden, in welchem ein Vergleich zwischen diesen Größen durchgeführt wird. Weichen die Ausgangs größen in unzulässiger Weise voneinander ab, wird ein Aus schaltsignal generiert. Andernfalls wird die Berechnung im Be rechnungsmodul E fortgesetzt. Fig. 4 shows a more detailed representation of the comparison of two calculation modules D and D 'different calculation blocks 4 and 10 of the first and second functional unit. In both calculation modules D and D ', output variables o and o' are determined as a function of input signals i and are fed to the comparison block 11, in which a comparison between these variables is carried out. If the output variables deviate from one another in an impermissible manner, a switch-off signal is generated. Otherwise, the calculation is continued in the calculation module E.

LIST OF REFERENCE NUMBERS

11

Steuerungssystem
control system

22

Regel- und Steuereinheit
Regulation and control unit

22

a, a,

22

b, b

22

c Funktionseinheit
c functional unit

33

Kontrolleinheit
control unit

44

Berechnungsblock
calculation block

55

Motorregler
motor controller

66

Pulsweitenmodulierer
Pulsweitenmodulierer

77

Stromverstärker
current amplifier

88th

Stellglied
actuator

99

Spannungsdiagnoseeinheit
Voltage diagnostic unit

1010

Berechnungsblock
calculation block

1111

Vergleichsblock
comparison block

1212

Kommunikationseinheit
communication unit

1313

Prozessor-Überprüfungseinheit
Processor checking unit

1414

Speicherüberprüfungseinheit
Memory check unit

Claims

1. Control system for an actuator in a motor vehicle, in particular a steering control system, with a regulating and control unit ( 2 ), which generates control signals for adjusting the actuator ( 8 ) as a function of measurement data of at least one sensor, and with a control unit ( 3 ) for monitoring the function of the regulating and control unit ( 2 ), the control system ( 1 ) being switched off in the event of a fault, characterized in that in the regulating and control unit ( 2 ) three functionally independent function levels or units ( 2 a, 2 b, 2 c) are provided, of which at least the first two functional levels or units ( 2 a, 2 b) each have at least one calculation module (A, B, C, U, A ', B', C ', U') for data manipulation, wherein
the first functional unit ( 2 a) evaluates the measurement data of the at least one sensor and calculates the actuating signals for the actuator ( 8 ) in accordance with a stored calculation rule,
the second functional unit ( 2 b) examines the control signals of the first functional unit ( 2 a) for agreement with setpoints, the control system ( 1 ) being switched off in the event of a fault
the third functional unit ( 2 c) controls the communication with the control unit ( 3 ), which controls both the function of the calculation modules (A, B, C, U) of the first functional unit ( 2 a) and the function of the calculation modules (A ', B ', C', U ') of the second functional unit ( 2 b) is monitored.

2. Control system according to claim 1, characterized in that the first functional unit ( 2 a) and the second functional unit ( 2 b) are at least partially realized in the control and control unit ( 2 ) stored and running software.

3. Control system according to claim 1 or 2, characterized in that in the second functional unit ( 2 b) the target values for a part of the calculations of the first functional unit ( 2 a) are determined redundantly and in accordance with the calculation results of the first functional unit ( 2 a) be checked.

4. Control system according to one of claims 1 to 3, characterized in that in the second functional unit ( 2 b) in two successive calculation cycles, the calculation results from two different calculation modules (A, B, C, U) of the first functional unit ( 2 a ) be checked redundantly.

5. Control system according to one of claims 1 to 4, characterized in that the second functional unit ( 2 b) a calculation module (A ', B', C ', U') for the redundant calculation of setpoints and a comparison block (11) for comparison the setpoints with the control signals of a calculation module (A, B, C, U) of the first functional unit ( 2 a).

6. Control system according to one of claims 1 to 5, characterized in that in the control unit ( 3 ) the correct execution of the calculation modules (A, B, C, U) of the first functional unit of the regulating and control unit ( 2 ) is cyclically queried.

7. Control system according to one of claims 1 to 6, characterized in that in the control unit ( 3 ) the proper execution of the calculation modules (A ', B', C ', U') of the second functional unit ( 2 b) of the control and Control unit ( 2 ) is polled cyclically.

8. Control system according to claim 6 or 7, characterized, that for proper functioning in the to be checked Calculation module (A, B, C, U, A ', B', C ', U') within one Time window generates a signal with a predetermined value must become.

9. Control system according to one of claims 1 to 8, characterized in that in the first functional unit ( 2 a) in a first loading module (A, B, C) a target steering assist force or a quantity correlating therewith is generated.

10. Control system according to claim 9, characterized in that in the first functional unit ( 2 a) in a second loading calculation module (U), which acts as a motor controller ( 5 ) for a steering assist motor, from the target steering support force or the correlating size a target value for the steering assist motor is generated.